Quando a responsabilidade pelo processamento da informação é terceirizada para outra organização, o acordo de terceirização deve contemplar os controles de segurança e procedimentos para os sistemas de informação, rede de computadores e estações de trabalho excluídos os riscos, uma vez que estão contemplados em planos de continuidade do negócio.